MENACES SUR LA CRYPTO story

Par EMMANUELLE ANDREANI, BAPTISTE BRENOT ET ARTHUR JEANNE

Cette nuit du samedi 24 au dimanche 25 janvier derniers, comme toutes les autres nuits, Jean* dort sur son canapé. Dehors, dans la petite ville de Voiron, en Isère, le thermomètre oscille autour de 0°C. Vers 6h30, trois individus forcent la porte d’entrée. Ils se jettent sur Jean et le maintiennent fermement sur le sofa. Surpris, l’homme de 74 ans hurle et se débat comme il peut. Les assaillants lui assènent une volée de coups de poing et de crosse en plein visage. L’attaque semble minutieusement préparée. Tous sont vêtus de noir, gantés et même chaussés de claquettes afin de brouiller les pistes. La compagne de Jean, qui dormait à l’étage, se réfugie dans le grenier, terrorisée. Elle essaye d’alerter les forces de l’ordre, mais le signal téléphonique ne passe pas sous les combles. Les intrus fouillent la maison, saisissent le téléphone et l’ordinateur du propriétaire dans le but de trouver le contact de son fils. C’est en quête de ce dernier que le commando est venu. Développeur dans la blockchain (une technologie de stockage et de transmission d’informations, ndlr), le fils de Jean détiendrait des avoirs en cryptomonnaie. Or il vit depuis plusieurs années loin de la région du Dauphiné, et même de la France. Il faudra donc le faire chanter à distance. Une fois le contact du fils trouvé, les ravisseurs le transmettent au commanditaire, surnommé “Souris”, qui l'appelle via WhatsApp. À plusieurs milliers de kilomètres de là, l’homme décroche son téléphone. Il entend: “On a ton père, on te contacte pour la crypto.” Il raccroche. Dans la minute qui suit, plusieurs messages envoyés par le commanditaire lui réclament trois millions d'euros. Mais le fils ne répond plus. Décision est prise d’empaqueter Jean de la tête aux pieds. Bâillonné, ligoté et recouvert d’un drap, il est chargé dans le coffre d’une voiture volée. Le retraité ne le sait pas encore, mais il vient seulement de vivre les premiers instants d’un calvaire long de seize heures.

Les ravisseurs roulent jusqu’à un chemin forestier, font sortir Jean du coffre et tous s’enfoncent, à pied, dans les bois. “On a marché un quart d’heure. J’avais le drap jusqu’en bas, je glissais sur la glaise, se remémore calmement le septuagénaire six mois plus tard, dans le bureau lyonnais de son avocat, M^e Rajon. Puis on a entendu un chien, peut-être celui d’un chasseur, et on a fait demi-tour.” Les preneurs d’otage mettent alors le cap sur Valence, à une grosse heure de route de là. Une fois en ville, le véhicule descend le boulevard Winston-Churchill, en bordure du quartier sensible de Fontbarlettes. Arrivé à un bar-tabac, l’otage est emmené dans une arrière-salle, où des bouteilles jonchent le sol. Les messages du commanditaire envers le fils se font toujours plus pressants. “Tu perds du temps, là. Et ton père va souffrir. Et tu vas quand même payer.” “J’avais interdiction de lever la tête, toujours un drap sur moi, je devais regarder le sol, raconte Jean. Ils ont commencé par m’entailler la joue, et m’ont dit de prendre le sang et de me l’étaler partout sur le visage, pour faire peur à mon fils.” Afin de se montrer encore plus persuasif, l’organisateur du rapt demande à ses “shooters” –comme on appelle les petites mains qui exécutent ces “missions”–, de sectionner un doigt de Jean. Sa main droite est placée sur la table. Les ravisseurs se saisissent d’un grand couteau. Ils entreprennent de découper la dernière phalange de son annulaire, mais la lame est trop émoussée pour pénétrer la chair. “Alors ils ont tapé deux fois dessus avec un gros marteau de charpentier, relate la victime, toujours aussi calmement. Il y a eu une fracture, un tendon de pété. Ça saignait de partout. Ils ont mis du sopalin autour.” Confronté aux images, le fils clame un malentendu, et affirme qu’il ne possède aucunement la somme demandée, même si celle-ci est passée de trois millions à 100 000 euros, exigés en ether, une cryptomonnaie. Les ravisseurs enferment Jean “dans un grand sac en plastique pour faire croire qu’ils [vont l’]étouffer. C’étaient toutes sortes de situations, à chaque fois pour filmer”, remet ce dernier. Pendant dix heures, une soixantaine d’images sordides affluent ainsi via WhatsApp puis Telegram. Plus le temps passe, plus le mystérieux commanditaire, dont le compte Telegram affiche une localisation marocaine, accentue la pression. “Tout les 30 minutes, un doigt. On est déjà à deux. Les deux petits doigts de chaque main.”** Vers 17h, il envoie un dernier message: “Concrètement y’a rien a faire avec ton père on va l’exécuter gros [...] Ton père sera un exemple pour les autre.” Malgré le contexte, l’ambiance dans l’arrière-salle du bar-tabac est étonnamment détendue. “À les entendre parler, j’ai compris que ce n’étaient que des jeunes de quartier, se souvient l’ex-otage. Entre eux, ils discutaient comme des adolescents, ils rigolaient, ils n’étaient pas stressés. [...] Ils se comportaient comme s’ils étaient copains depuis toujours.” Pourtant, tous ont été recrutés séparément via Snapchat. L’un vient de Valence, l’autre de Montpellier, le troisième est SDF. À un moment donné, le trio décide d’aller se ravitailler à un snack non loin de là. Ils prennent soin de bâillonner et de ligoter Jean aux toilettes, une ficelle reliant cruellement son pied à son doigt mutilé pour l’empêcher de bouger, au risque d’aggraver sa blessure.

Bâillonné, ligoté et recouvert d’un drap, Jean est chargé dans le coffre d’une Clio volée. Le retraité vient seulement de vivre les premiers instants d’un calvaire long de seize heures

Le dîner avalé, Jean est remis dans le coffre de la voiture, puis abandonné sur un grand parking jouxtant un échangeur de l’autoroute A7, à Loriol-sur-Drôme. Le retraité avance tant bien que mal, quand une voiture arrive face à lui, et le dépasse. “Je baissais la tête et je marchais. Je ne voulais pas faire peur aux gens.” Le véhicule entame une marche arrière. “Ne vous inquiétez pas, je suis de la police”, lui dit le conducteur, membre de la Brigade de recherche et d’intervention (BRI) lyonnaise. “J’ai été kidnappé. –On sait, on sait.” Aujourd’hui, si Jean accepte de témoigner aux côtés de son avocat, c’est parce qu’il pense que “la parole libère”. Il souhaite faire comprendre aux aspirants assaillants “qu’ils se font avoir” par les commanditaires, qui empochent tous les éventuels bénéfices en leur laissant prendre les risques. “Les mis en cause ont été mis en examen et placés en détention provisoire pour la plupart, prolonge M^e Rajon. Les qualifications pénales, c’est un enlèvement, une séquestration, des faits de torture. Des faits extrêmement graves. Mon ressenti, c’est qu’on a affaire à des individus qui étaient prêts à monter sur un coup sans vraiment se poser de questions, ni sur les tenants et aboutissants de l’opération, ni même sur les modalités de leur propre rémunération. Certains d’entre eux sont arrivés le jour J sans [aucune info]. Ça m’a stupéfait.”

Depuis un pays situé dans l’est de l’Europe, le fils de Jean, qui ne souhaite communiquer ni son nom, ni son lieu de résidence, ni aucune information permettant de l’identifier, n’en revient pas d’avoir été la cible d’une telle attaque. L’année dernière, il avait suivi de près “l’affaire David Balland”: le cofondateur de la société Ledger, figure française du secteur des cryptos, et sa compagne s’étaient fait enlever chez eux, près de Vierzon, dans le Cher, le 21 janvier 2025. Ils avaient été libérés l’un après l’autre au terme d’une séquence horrifique de près de 48 heures, durant laquelle les ravisseurs se sont notamment filmés en train de trancher l’auriculaire de l’entrepreneur de 36 ans pour faire pression sur deux de ses associés, qui leur ont finalement versé l’équivalent de trois millions d’euros en cryptomonnaie. Parmi eux, le médiatique Éric Larchevêque, connu pour son rôle dans l’émission Qui veut être mon associé? sur M6. La séquestration du cofondateur de cette société mondialement réputée pour ses portefeuilles destinés à sécuriser ses “cryptos” fait alors le tour des médias internationaux. “Et un an après, la même chose m’arrive à moi, résume, par téléphone, le fils de Jean. Ça dit quelque chose de l’évolution du phénomène. Avant, ils s’en prenaient aux baleines. Maintenant, ils tapent tout le monde.”

Au vu des chiffres, en progression constante, difficile de lui donner tort. Selon le Parquet national anticriminalité organisée (Pnaco), la France a connu 18 cas de séquestration, enlèvement et/ou menaces liés aux cryptomonnaies en 2024, 67 en 2025, et 62 de janvier à juillet 2026. Soit une attaque tous les trois jours en moyenne. Installé dans son grand bureau boisé au cinquième étage du tribunal judiciaire de Lyon, le procureur de la République Thierry Dran l’admet sans peine: après 30 ans de carrière, il n’aurait pas imaginé vivre un truc pareil. “C’est un phénomène nouveau. Les enlèvements de ce type, avec violences et demande de rançon, ça avait complètement disparu du paysage. On n’avait pas vu ça depuis les années 1970 et le baron Empain”, dit-il en référence au célèbre homme d’affaires belge qui avait été enlevé en janvier 1978, amputé d’un doigt –alors envoyé par La Poste à sa famille pour faire pression– et séquestré pendant près de deux mois par ses ravisseurs. Depuis 2025, le parquet de Lyon a été confronté à huit affaires de cette ampleur liées aux cryptomonnaies. Et pas des moindres: une famille entière séquestrée à Challes-les-Eaux, en Savoie, fin novembre 2025 pour trois millions d’euros ; le rapt d’un couple de retraités à Sallanches, en Haute-Savoie, mi-janvier dernier, pour exiger une rançon de huit millions d’euros à leur fils travaillant dans le secteur ; l’affaire de Voiron quelques jours plus tard ; et, début février, une magistrate, épouse d’un entrepreneur, et sa mère enlevées à Saint-Martin-le-Vinoux, en Isère – séquestrées pendant 30 heures, elles ont été retrouvées blessées et ligotées dans un garage à Bourg-lès-Valence, dans la Drôme, à plus de 90 kilomètres de là. Ce retour en force des enlèvements à l’ancienne s’explique principalement par l’attrait que présente le vol de cryptomonnaies par rapport à un vol classique: il n’y a pas d’intermédiaire, pas de banque pour geler les fonds, pas de plafond de virement, la victime détient elle-même l’accès à l’argent, qu’elle peut débloquer aisément (via une seed phrase, une sorte de mot de passe composé de plusieurs mots) et elle n’a pas la possibilité de faire opposition. Sur le papier, la technologie blockchain, qui sécurise les transactions en crypto et les rend publiques, est censée permettre de suivre l’argent, mais il existe différentes techniques pour le blanchir en un rien de temps (via des bourses décentralisées ou des mixeurs de cryptomonnaies, permettant de mélanger des fonds issus de divers utilisateurs, ndlr).

“C’est un phénomène nouveau. Les enlèvements de ce type, avec violences et demande de rançon, ça avait complètement disparu du paysage. On n’avait pas vu ça depuis les années 1970 et le baron Empain”

Thierry Dran, procureur

De quoi déclencher un sentiment de panique dans l’écosystème crypto. Début juillet dernier, une centaine de ses membres étaient réunis dans le jardin de la Fondation Maison des sciences de l’homme, dans le VI^e arrondissement de Paris, pour la summer party annuelle de l’Association pour le développement des actifs numériques (ADAN), sorte de lobby français de la crypto. Ce soir-là, autour du buffet, garni de nénuphars aux crevettes et de makis de canard, certains n’hésitent pas à parler de “psychose”. “Ici, on connaît tous quelqu’un à qui c’est arrivé”, affirme, un verre de blanc à la main, un jeune product analyst d’une société spécialisée dans la blockchain. “J’ai des contacts qui changent d’identité sur LinkedIn pour se protéger, poursuit-il. Mais la vérité, c’est que de plus en plus de gens font appel à des sociétés de sécurité privée.” Parmi elles, Lima Protection, fondée il y a trois ans par Cédric Fontaine, ancien militaire et ancien policier, qui se félicite, en visio depuis Dubaï, d’avoir été “l’un des premiers à aller sur le marché” de la sécurité des personnes travaillant dans la cryptomonnaie. Depuis, il a développé tout un éventail d’offres: protection rapprochée “classique” avec garde du corps, formule d’astreinte de sécurité avec la géolocalisation en temps réel de chaque membre de la famille, et même un “canon à son breveté”, pouvant être déclenché à l’aide d’une télécommande d’urgence en cas d’attaque. Au total, sa société protège 70 personnes, dont des cadres d’entreprise dans le secteur des cryptos, et ce, principalement en France. Car c’est là un autre chiffre hallucinant: selon la direction nationale de la police judiciaire, la France concentrerait à elle seule 70% des affaires de ce type dans le monde. Pourquoi? Si certains, notamment parmi les victimes, avancent l’hypothèse d’une forme de “laxisme judiciaire” qui désinhiberait selon eux les agresseurs, d’autres –experts, avocats, magistrats– invoquent plutôt un cocktail explosif mêlant ubérisation de la criminalité via les messageries cryptées et les réseaux sociaux, déjà à l’œuvre dans le trafic de drogue, et fuites massives de données.

Le premier à y avoir pensé s’appelle Badiss Bajjou. Originaire du Chesnay-Rocquencourt, dans les Yvelines, ce Franco-Marocain aujourd’hui âgé de 25 ans apparaît comme le grand pionnier du phénomène et, concrètement, comme le cerveau présumé d’au moins quatre affaires, dont l’enlèvement du cofondateur de Ledger, David Balland. Cela commence trois ans en arrière, le 20 juillet 2023 au matin, à Élancourt, également dans les Yvelines, lorsqu’une mère de famille de 56 ans ouvre la porte de son appartement à un individu déguisé en livreur, qui s’engouffre à l’intérieur, suivi d’un complice. La quinquagénaire est alors attachée, bâillonnée et menacée avec un marteau et une machette. Le petit commando bâche le salon et envoie au fils de la victime, B., agent de sportifs et influenceur foot très suivi aux États-Unis, une vidéo accompagnée d’une demande de rançon de dix millions d’euros en cryptomonnaie. B. fait un virement de 30 000 euros qui, étrangement, semble contenter les deux agresseurs. Après avoir aspergé leur victime d’antimoustique et l’avoir douchée de force –deux gestes probablement destinés à effacer leurs traces–, ils l’abandonnent nue sur son lit, les pieds et les mains liés par des Serflex, et repartent à bord d’une Audi A3. Changement de décor, un mois plus tard, le 24 août au matin. Un fourgon Citroën Jumpy se gare devant un pavillon à Cures, une commune de 489 habitants dans la Sarthe. À l’intérieur, trois hommes, dont celui qui jouait déjà le rôle du faux livreur à Élancourt. Cette fois, c’est un autre qui va prendre sa place et se présenter à la porte, gilet jaune sur le dos et colis à la main. La même scène se rejoue à quelques détails près: seul à la maison, Bruno Desnos, 60 ans, lui ouvre, puis il est mis en joue et ligoté. “T’es le père à Killian?” s’entend-il demander, en référence à son fils de 29 ans, un influenceur jeux vidéo et poker basé à Malte et connu sur les réseaux sociaux sous le pseudo TeufeurS. Puis: “Ton fils, il va payer.” Vingt minutes plus tard, le père est traîné jusqu’à la camionnette par le trio, qui emporte au passage deux Rolex et 600 euros en espèces, cachés dans un paquet de M&M’s. Il est ensuite conduit dans un appartement d’un quartier résidentiel du Mans, à une vingtaine de kilomètres. Killian Desnos, alors en vacances en Crète, commence à recevoir des vidéos de son père, une arme de poing pointée sur lui, ainsi que des messages exigeant une rançon en crypto, envoyés depuis deux numéros, l’un marocain et l’autre espagnol. Via un proche resté à Malte et ayant accès à ses avoirs en crypto, il effectue trois virements pour un montant total de 1,7 million d’euros. Son père, relâché peu après en pleine campagne, est recueilli par deux automobilistes, puis par la police. Dès le lendemain, les enquêteurs interpellent le faux livreur. Il s’agit de Djelloul C., alias “le Mexicain”, identifié sans peine grâce à la vidéosurveillance. Début septembre, trois autres complices sont arrêtés, dont le cousin de Badiss Bajjou, Idriss L., considéré par les enquêteurs comme le “logisticien” ayant organisé l’attaque d’Élancourt. Bajjou apparaît, lui, comme le commanditaire derrière les deux affaires. L’idée d’organiser des cryptorapts lui serait venue lors d’un séjour à la maison d’arrêt de Bois d’Arcy, en 2022, où il a fait la rencontre du “Mexicain” et d’autres hommes, qui deviendront des complices. Problème: recherché pour tentative de meurtre dans le cadre d’une autre affaire, cette fois liée à du trafic de drogue, le cerveau est en fuite au Maroc.

Et il n’a pas dit son dernier mot. Depuis l’autre côté de la Méditerranée, Bajjou commence en effet à planifier son plus gros coup: l’enlèvement de David Balland, dont il va confier la logistique à celui qui devient son bras droit, Djelloul C., en détention provisoire à la prison d’Angers dans le cadre de l’enlèvement de TeufeurS. Les policiers ne le découvriront que quelques semaines après le rapt: la ligne téléphonique ayant servi à réserver les gîtes où ont été séquestrés Balland et son épouse n’a borné qu’à un seul endroit, la maison d’arrêt d’Angers. Placé sur écoute, Djelloul C. évoque dans des conversations au parloir avec sa compagne un “pote en fuite au bled” qui serait le commanditaire des premiers rapts et de celui de Balland. Dans un de ses téléphones, les policiers trouvent d’autres échanges où il s’attribue ce même enlèvement. Ils apprennent qu’il dispense aussi des conseils logistiques sur l’application Signal à un dénommé “F9” qui lui dit vouloir “faire un plan” et “soulever la daronne de Kimbeper (sic) un footballeur”, dans l’espoir d’obtenir une rançon en crypto. Pire, le détenu a déjà commencé à organiser un nouveau rapt à la demande de Bajjou, celui du père d’un entrepreneur en crypto. Le 1^er mai 2025, Augustin B. est raflé par un faux véhicule de livraison en plein Paris, séquestré pendant 58 heures dans un pavillon à Palaiseau et amputé d’un doigt par ses ravisseurs. Aux manettes, Bajjou envoie la vidéo de la mutilation au fils, basé à Malte, ainsi que des centaines de messages destinés à le faire payer. Dix jours plus tard, le 13 mai, c’est la fille de Pierre Noizat, pionnier français des cryptomonnaies, qui est attaquée en pleine rue, dans le XI^e arrondissement de Paris. La femme de 34 ans, enceinte de plusieurs mois, se débat alors que des individus essaient de la faire monter dans un fourgon. Aidée de son compagnon et de riverains, elle parvient à faire fuir ses ravisseurs. Diffusée sur Internet, la vidéo de l’incident, filmée par un voisin, suscite la consternation. En suivant la trace de la camionnette, la police parvient à déjouer, fin mai, une nouvelle tentative visant un autre entrepreneur et sa femme, cette fois près de Nantes. Les enquêteurs s’interrogent: encore des affaires commanditées par Bajjou? En tout cas, la médiatisation de l’agression du 13 mai est telle qu’elle convainc les autorités françaises d’accélérer. Placé dans le top 10 des Français les plus recherchés par Interpol, Bajjou est arrêté quelques jours plus tard, le 3 juin 2025, à Tanger, sur dénonciation de la justice française auprès des autorités marocaines. La photo de sa notice rouge, où on le voit, cheveux longs négligemment coiffés en arrière, yeux clairs et mine sévère, fait le tour des JT: “Le commanditaire présumé des cryptorapts en France a été interpellé”, titrent les journaux. La série noire va peut-être enfin s’arrêter.

Mais peu de temps après, ça repart. Plusieurs enlèvements ont lieu, principalement en région parisienne au mois de juillet, ainsi qu’à Valence, avec la séquestration d’un jeune Suisse de 23 ans, détenu pendant quatre jours en août. Le cerveau des cryptorapts a beau avoir été placé hors d’état de nuire, tout se passe comme s’il avait lancé une mode. “Les phénomènes criminels sont toujours copiés, commente le procureur Thierry Dran. Il suffit que quelqu’un commette un premier enlèvement qui lui permet de gagner très vite beaucoup d’argent, et là, un autre se dit: ‘Pourquoi ça ne marcherait pas pour moi?’” La tendance semble, en tout cas, attirer des criminels de plus en plus jeunes. “Et mal préparés”, tranche Jérôme de Tychey, entrepreneur dans la blockchain et président d’Ethereum France. Dans la nuit du 18 au 19 janvier derniers, lui et son épouse ont fait l’objet d’une tentative d’enlèvement, dans le XVI^e arrondissement de Paris, où ils vivaient avec leurs trois enfants en bas âge. “On a été sauvés par notre gardienne”, remet-il aujourd’hui, visiblement encore secoué. Cette nuit-là, alertée par des bruits suspects et la présence devant l’immeuble d’une Peugeot 208 grise qu’elle avait déjà vu rôder dans la rue, la concierge compose le 17. Une fois sur place, les policiers tombent sur deux jeunes, dont un mineur, qui tentent de se cacher maladroitement à bord d’une voiture volée. À l’intérieur du véhicule, ils trouvent des couteaux, un rouleau de scotch, des gants et des cagoules. Deux autres suspects cachés dans la cour sont interpellés ; un couteau est retrouvé dans un pot de fleurs. Dans un des téléphones saisis, les policiers trouvent une conversation Snapchat entre deux des suspects quelques heures avant les faits: “attaché et crypto [...] et après t’as vu tout ce qui se passe dans la maison s’il y a du cash et tout ça c’est pour nous, ça c’est hors plan” / “Ah ouais je te dis la vérité, j’aime pas ça wallah, tu m’aurais dit on va cambu (cambrioler, ndlr) vas-y mais vas-y attaché, wallah j’aime pas ça” / “Mais t’es un ouf blo (bleu, ndlr), là ça parle en M (millions, ndlr) et tout wesh, crypto et tout et tout, t’es con ou quoi wesh”. “Tu sens qu’on n’est pas sur des professionnels, soupire Jérôme de Tychey. Mais bon, ils savent trouver une voiture volée, se procurer des armes, ils ont des liens avec le banditisme, et ils sont prêts à se lancer pour 1 000, 2 000 euros.” Lors de leur procès, le 1^er avril dernier, les trois majeurs arrêtés boulevard Flandrin ont nié les faits, riant à la lecture de leurs échanges sur Snapchat. Ils ont été condamnés à des peines allant de dix mois à deux ans de prison. “Le tribunal n’a pas retenu les qualifications de séquestration ou d’enlèvement, car ils n’étaient pas allés au bout”, se désole l’entrepreneur, visiblement excédé. Lui n’était pas dans la salle ce jour-là: entre-temps, le couple a préféré s’installer à New York “pour une durée indéterminée”.

Au fil des mois, les enquêteurs s’inquiètent de voir les affaires se multiplier, avec l’apparition de nouveaux profils de victimes, qui ne sont ni des influenceurs ni de gros entrepreneurs. Les attaques visent désormais des particuliers sans aucun lien public avec le secteur, ayant simplement investi un jour dans les cryptos. Ainsi, dès juillet 2025, une mère de famille est attaquée chez elle, devant ses enfants, en banlieue ouest parisienne. Surpris par la présence de son époux, les agresseurs prennent la fuite. L’un des deux est arrêté dans la foulée ; il porte sur lui un couteau, un hachoir et un portable, dans lequel les policiers trouvent une “fiche cible” au nom de G., un trentenaire vivant à Paris. En garde à vue, il avoue alors qu’une autre “équipe” est passée chez G. le même jour, dans l’espoir d’y trouver de la crypto. Un enquêteur de la Brigade de répression du banditisme (BRB) convoque G. dans son bureau. Sur place, il lui montre une capture d’écran, issue du portable du suspect: y figurent son nom, son prénom, ses adresses e-mail et postale, ainsi que des indications précises comme le code d’entrée de son immeuble ou l’étage auquel se trouve son appartement… “Il y avait vraiment tout le chemin complet jusqu’à ma porte, résume-t-il, un an plus tard. C’était glaçant.” “Vous possédez de la cryptomonnaie?” lui demande le policier. Le trentenaire parisien confirme qu’il en a, oui, mais plus beaucoup: après avoir investi toutes ses économies –soit 30 000 euros– dans le Bitcoin en 2013, il a revendu la quasi totalité de ses cryptos huit ans plus tard, ce qui lui a permis de faire un bénéfice substantiel et de s’acheter, sans crédit, un appartement à Paris. Ses avoirs en crypto se chiffrent désormais à quelques milliers d’euros. Par ailleurs, personne, à part sa famille, n’est au courant et il va sans dire qu’il ne s’est jamais affiché sur les réseaux. “C’est là que le policier m’a parlé de fuite de données, poursuit G. Il disait qu’il devait sûrement y avoir des listes qui circulaient, avec des infos.”

Début juillet dernier, autour du buffet de la summer party de l’Association pour le développement des actifs numériques, certains n’hésitent pas à parler de “psychose”

Ce que les policiers ignorent encore, c’est que ces infos vont devenir de plus en plus précises, et les cryptorapts, de plus en plus lucratifs. Ainsi, dans la nuit du 18 au 19 décembre 2025, c’est l’équivalent de plus de huit millions d’euros qui est dérobé à un investisseur installé à Dompierre-sur-Mer, en Charente-Maritime. Cette fois, le commanditaire, qui échange à distance avec l’homme ciblé tandis que deux hommes encagoulés tiennent la femme de ce dernier en joue dans une autre pièce, connaît les montants des avoirs à la virgule près, ainsi que leurs adresses numériques exactes –contrairement à ses prédécesseurs, lui ne se contentera donc pas d’une somme négociée dans l’urgence. L’investisseur est obligé de vider ses comptes un à un via plusieurs virements, et ses ravisseurs repartent deux heures seulement après avoir fait irruption dans la maison. La victime mobilise des proches aguerris en crypto pour tenter de retracer les sommes transférées, via la blockchain. Parmi eux, Nicolas Bacca, l’autre cofondateur de Ledger et figure historique de la communauté crypto. Fin janvier 2025, lors de l’enlèvement de David Balland, Bacca avait monté une task force composée d’experts et destinée à traquer les trois millions d’euros versés en paiement de la rançon. “En une heure, on a réussi à bloquer 90% des fonds, résume-t-il. Ce groupe-là était peut-être bon en logistique, mais pas très au point en crypto et en blanchiment.” Un an plus tard, dans la foulée de l’enlèvement à Dompierre-sur-Mer, la task force est reconstituée, mais le constat est tout autre. “Là, on commence à tracer les mouvements, et on voit que ces types sont bien plus pros, explique Bacca. Très vite, ils basculent en Monero, une cryptomonnaie intraçable, et passent par des protocoles ultraconfidentiels. On ne pouvait plus rien faire.” En quelques heures, près de huit millions d’euros se sont volatilisés. L’affaire, emblématique, suscite une avalanche de commentaires dans les groupes de discussion de la communauté crypto: on cherche la source, et certains évoquent la piste de Waltio, une application française destinée à faciliter ses déclarations fiscales, dont on soupçonne qu’elle a subi une fuite de données. Quelques jours plus tard, face à la multiplication des rumeurs, Pierre Morizot, le PDG de Waltio démentira sur X tout “lien entre une fuite de données et cette affaire”.

Au même moment, sur le groupe Telegram Fiscalité crypto FR, des messages évoquent au contraire une “faille” sur l’application. Un utilisateur écrit qu’“ils se sont déjà fait hacker”, il évoque “des petits” qui auraient accès à “50 000 lignes” de la base Waltio, avec les noms, les prénoms et les soldes des particuliers détenteurs de crypto. Puis: “Le mec qui a volé 8M il y a trois jours est actuellement en train de claquer son argent devant des gens pour flex”, ce serait “un petit de 17 ans”. Lui et ses amis seraient même passés de “SDF à multimillionnaire en quelques mois”. Intrigués, les experts de la task force remontent le fil du mystérieux informateur jusqu’à découvrir qu’il a posté une transaction opérée par le “petit” en question afin de prouver ses dires. “Les données correspondaient à l’un des portefeuilles dérobés, donc ça voulait dire que l’informateur était crédible, explique l’un des experts cyber, que l’on appellera “X.” pour des raisons de confidentialité. Il connaissait le commanditaire et sa bande, on a compris qu’il était très jaloux qu’ils aient réussi leur coup.” Cette source leur explique que la petite bande a même fabriqué une fausse réquisition judiciaire auprès de Waltio, émanant d’une vraie adresse e-mail du ministère de l’Intérieur, pour vérifier les montants exacts détenus par leur cible. Le pseudo du commanditaire présumé sur la messagerie Discord est “Ashura”, découvrent les enquêteurs de la task force. “Il faut savoir qu’il y a des systèmes qui permettent de retrouver tous vos anciens messages postés sur des groupes publics, explique X. Donc à partir du moment où on avait son pseudo principal, c’était parti, quoi.” X. se lance dans une véritable enquête sur le mystérieux Ashura. Ainsi, il apprend que le lendemain du rapt à Dompierre-sur-Mer, ce dernier a annoncé ceci sur Discord à sa communauté, sous un alias différent: “J’achète tous vos XMR (Monero, ndlr) sans limites”, puis qu’il a publié les détails d’une nouvelle transaction, permettant, encore une fois, de le relier à l’agression. Il découvre aussi qu’il semble couler des jours heureux aux Émirats arabes unis. Le 9 janvier, le voilà qui poste des vidéos d’une Lamborghini chez un concessionnaire à Dubaï, puis les détails d’une transaction en crypto équivalente à 380 000 dollars à destination du même vendeur. Défilent aussi des images montrant des liasses de billets à l’arrière d’une voiture, une montre Richard Mille d’une valeur de plus de 500 000 euros et des dépôts de plusieurs centaines de milliers d’euros dans des casinos en ligne. En parallèle, X. retrouve des traces du mystérieux individu sur Telegram, où il apparaît, sous d’autres alias, sur des groupes liés à la cybercriminalité et aux arnaques en ligne, et dans des dizaines d’annonces, datant de décembre à février derniers, où il affirme rechercher des “shooters” et des “hitters” pour des “vols IRL” (“dans la vraie vie” en VF, ndlr) en France, mais aussi en Suisse, en Angleterre et aux États-Unis. Sur Discord, X. cartographie son réseau de proches en décortiquant des heures de conversations, où se mêlent flambe, vidéos en boîte de nuit à Barcelone, menaces –photos d’armes à feu ou de boîtes aux lettres en feu à l’appui–, mais aussi blagues d’adolescents et mèmes internet. L’un d’entre eux met en scène un personnage de Moi, moche et méchant, mentionnant Waltio et le fait de “se faire kidnapper”.

Fin janvier, un mois après le rapt à Dompierre-sur-Mer, l’application Waltio a fini par avouer avoir été victime d’un piratage, revendiqué par le groupe cybercriminel ShinyHunters, connu pour avoir hacké par le passé Microsoft, AT&T, Vinted ou encore GitHub. Elle se veut alors rassurante, affirmant que seuls les e-mails (donc ni adresses ni coordonnées téléphoniques) et les déclarations de patrimoine 2024 auraient leaké. Mais quelques jours plus tard, une enquête du média en ligne The Big Whale affirme qu’il y aurait eu d’autres fuites, dont une non communiquée, dès le premier trimestre 2025. De quoi alimenter les soupçons sur un lien de cause à effet avec plusieurs rapts visant de simples détenteurs de crypto depuis de longs mois. Certes, d’autres sources issues de piratages peuvent donner des indications précieuses aux criminels: la société Ledger a elle aussi été hackée plusieurs fois, ainsi que le registre Ficoba, le fichier national des comptes bancaires du fisc, sans oublier, l’été dernier, l’affaire Ghalia C., du nom d'une agente des impôts à Bobigny qui aurait consulté, à la demande d’un commanditaire, les fichiers fiscaux de détenteurs de crypto, suscitant l’émoi dans la communauté, bien qu’aucun lien n’ait encore été établi à ce jour avec un quelconque cryptorapt. Mais la base Waltio présente un avantage: elle permet d’avoir des indications précises sur les montants disponibles. “Et si vous avez accès aux e-mails, explique Nicolas Bacca, il suffit de recouper avec d’autres fuites de données (opérateurs téléphoniques, sites de e-commerce, fédérations sportives, ndlr), et vous pouvez vous constituer le parfait annuaire des détenteurs de crypto.” Selon notre enquête, au moins six particuliers visés par des attaques en 2025 et 2026 estiment avoir été ciblés à la suite du piratage de Waltio, dont G., le trentenaire parisien. En plus de celui de Dompierre-sur-Mer, au moins deux autres kidnappings majeurs seraient liés à ce hack précis: ceux de Challes-les-Eaux, fin novembre 2025 (trois millions d’euros dérobés), et La Chapelle-Saint-Aubin (quatre millions d’euros), en janvier dernier. C’est en tout cas ce que suggère un message posté début février sur le site BreachForums, une plateforme de revente de données volées: “Tout ceci a été produit par un collectif de trois personnes qui ont bénéficié de notre aide pour le piratage de la base de données de Waltio qui nous ont toujours promis 15% de leurs gains.” Quelques jours plus tard, un autre message, posté cette fois sur Telegram et signé ShinyHunters, accompagné d’une partie des données volées, attribuait le hack et ces cryptorapts majeurs à un certain “Ashura”, dont le pseudo était rendu public pour la première fois, et à d’autres individus liés au groupe de pirates informatiques. Vraie revendication? Ou fausse piste, publiée dans le cadre d’un règlement de comptes entre criminels? Une chose est sûre, selon Rayna Stamboliyska, fondatrice du cabinet de conseil RS Strategy et spécialiste de la cybercriminalité en ligne: “Si un lien est avéré entre un groupe comme ShinyHunters et des rapts physiques, on aurait affaire à une mutation structurante et très préoccupante du phénomène cybercriminel.” La piste est en tout cas prise au sérieux par les enquêteurs qui vont, grâce aux informations transmises par X. et la task force, remonter jusqu’au dénommé Ashura, le fameux “petit de 17 ans”. Selon nos informations, il a été interpellé en France début avril. De nationalité espagnole, il aurait en partie grandi en France. Il n’a pas 17 ans, mais 19, pas de casier judiciaire, et une tête de gentil collégien. L’un de ses complices avait été arrêté en Suisse, quelques mois plus tôt –lui n’a que… 16 ans. Une bande d’adolescents de mèche avec des groupes cybercriminels pourrait-elle vraiment être derrière les kidnappings les plus lucratifs des douze derniers mois? Une source judiciaire estime qu’elle est soupçonnée d’être “impliquée dans plusieurs faits”, sans en dire plus. Au total, le Pnaco affirme suivre douze dossiers, dont certains seraient liés aux fuites de données Waltio. Dans ces seules affaires, 94 individus ont été mis en examen, dont treize mineurs, et 74 personnes placées en détention provisoire.

“Tu sens qu’on n’est pas sur des professionnels. Mais bon, ils savent trouver une voiture volée, se procurer des armes, ils ont des liens avec le banditisme, et ils sont prêts à se lancer pour 1 000, 2 000 euros”

Jérôme de Tychey, président d'Ethereum France

De quoi enfin souffler? À Lyon, le procureur Thierry Dran affirme avoir constaté une forme de “tassement” depuis la fin du printemps dernier, lié selon lui aux “vagues d’interpellations”. Un commanditaire basé à l’étranger, commun à plusieurs affaires du bassin lyonnais, dont celle de Voiron, aurait d’ailleurs été identifié, mais pas encore interpellé. Quant à Badiss Bajjou, la presse marocaine a annoncé fin mai qu’il avait été jugé au Maroc, et condamné à 25 ans de prison. Le fils de Jean n’est pas rassuré pour autant. “Le lendemain du rapt, TF1 a filmé la maison de mon père, soupire-t-il. Donc j’ai encore plus de risques d’être ciblé qu’avant…” G. non plus n’est pas serein. Au printemps dernier, le trentenaire parisien, qui pensait être tiré d’affaire, a reçu l’appel d’un ami avocat représentant un individu impliqué dans un rapt: “Des bandes ont été démantelées mais ton nom circule encore, des gens sont venus chez toi et ils vont bientôt revenir, fais attention.” Quelques jours plus tard, deux individus sonnaient à la porte de G., que ce dernier avait pris soin d’équiper d’une caméra après le premier incident. Lui n’était pas présent: quelques mois après la première tentative, il est parti vivre chez un ami. Mais la caméra a enregistré la visite, il a tout suivi en direct via une appli de son téléphone. Sur les images, on voit deux jeunes, l’air un peu perdu, dont un au visage découvert, hésiter, faire demi-tour, revenir… G. les a transmises à la police. Les deux ont été identifiés, mais pas encore arrêtés. “Les policiers m’ont dit qu’ils s’en servaient pour essayer de remonter au ‘commanditaire’.” Ses données, ainsi que celles d’autres personnes, circuleraient toujours entre différents criminels. • TOUS PROPOS RECUEILLIS PAR EA, BB ET AJ

*Le prénom a été changé.

**Par souci d’exactitude, les messages cités ici le sont tels qu’ils ont été envoyés, sans correction ni modification.